Go语言中将TCP连接升级为TLS安全连接的实战教程

package main

import (
    "crypto/tls"
    "log"
    "net"
    "text/template" // 假设这是一个SMTP服务器，可能会用到text/template
)

// 定义一个全局或结构体内的TLS配置
var tlsConfig *tls.Config

func initTLSConfig(certPath, keyPath string) {
    cert, err := tls.LoadX509KeyPair(certPath, keyPath)
    if err != nil {
        log.Fatalf("无法加载TLS证书或私钥: %v", err)
    }

    tlsConfig = &tls.Config{
        Certificates: []tls.Certificate{cert},
        // ClientAuth: tls.NoClientCert, // 根据需求设置客户端认证策略
        // ServerName: "example.com", // 如果需要SNI，可以设置
        MinVersion: tls.VersionTLS12, // 建议设置最低TLS版本
    }
    log.Println("TLS配置初始化成功。")
}

// 示例：在main函数或其他地方调用
func main() {
    // 假设你的证书和私钥路径
    initTLSConfig("path/to/server.crt", "path/to/server.key")

    // ... 你的服务器监听和处理逻辑
}

// 假设 clientConn 是一个已接受的 net.Conn
// 并且客户端已发送 STARTTLS 命令，服务器已回复 220 Start TLS
func upgradeToTLS(clientConn net.Conn) (net.Conn, error) {
    if tlsConfig == nil {
        return nil, errors.New("TLS配置未初始化")
    }

    // 1. 创建一个新的 *tls.Conn
    tlsClientConn := tls.Server(clientConn, tlsConfig)

    // 2. 执行TLS握手
    err := tlsClientConn.Handshake()
    if err != nil {
        log.Printf("TLS握手失败: %v", err)
        // 重要的是，如果握手失败，原始连接 clientConn 应该被关闭
        // 或者至少不应再被用于非TLS通信
        clientConn.Close()
        return nil, fmt.Errorf("TLS握手错误: %w", err)
    }

    log.Println("连接成功升级到TLS。")

    // 3. 返回新的TLS连接。
    // 后续的所有读写操作都应通过这个 tlsClientConn 进行。
    // 如果你的上层协议处理逻辑只需要 net.Conn 接口，可以直接返回它。
    return tlsClientConn, nil
}

import (
    "bufio"
    "net"
    "net/textproto" // 假设你正在实现SMTP服务器
    "errors"
    "fmt"
    "log"
)

type SMTPSession struct {
    Conn     net.Conn
    TextConn *textproto.Conn // 用于SMTP协议的文本读写
    // 其他会话状态
}

func (s *SMTPSession) HandleSTARTTLS() error {
    // ... 发送 220 Start TLS 响应给客户端 ...
    log.Println("收到STARTTLS命令，准备升级连接...")

    // 升级连接
    newConn, err := upgradeToTLS(s.Conn) // 调用上面定义的 upgradeToTLS 函数
    if err != nil {
        log.Printf("升级TLS失败: %v", err)
        return err
    }

    // 更新会话中的连接
    s.Conn = newConn
    // 重新初始化 textproto.Conn，使其使用新的TLS连接
    s.TextConn = textproto.NewConn(s.Conn)

    log.Println("连接已成功升级为TLS，并更新了TextConn。")
    return nil
}

// upgradeToTLS 函数（同上）
func upgradeToTLS(clientConn net.Conn) (net.Conn, error) {
    if tlsConfig == nil {
        return nil, errors.New("TLS配置未初始化")
    }
    tlsClientConn := tls.Server(clientConn, tlsConfig)
    err := tlsClientConn.Handshake()
    if err != nil {
        log.Printf("TLS握手失败: %v", err)
        clientConn.Close()
        return nil, fmt.Errorf("TLS握手错误: %w", err)
    }
    return tlsClientConn, nil
}

openssl s_client -starttls smtp -crlf -connect example.com:25